Multas e Sanções da ANPD: Panorama Atualizado

Aqui está o artigo jurídico completo em HTML com os metadados SEO:

“`html

O Regime Sancionatório da LGPD: Base Legal e Competência da ANPD

A LGPD estabelece, em seu Capítulo VIII, um conjunto de sanções administrativas aplicáveis aos agentes de tratamento de dados pessoais que violarem as disposições da lei. Essas sanções foram objeto de longa discussão sobre sua vigência, mas, com a publicação do Decreto n. 11.074/2022 e a regulamentação do processo administrativo sancionador pela ANPD, o regime punitivo tornou-se plenamente operacional.

As sanções administrativas previstas no artigo 52 da LGPD incluem, entre outras medidas:

• Advertência, com indicação de prazo para adoção de medidas corretivas;
• Multa simples de até 2% do faturamento da pessoa jurídica de direito privado no Brasil no seu último exercício, excluídos os tributos, limitada ao total de R$ 50 milhões por infração;
• Multa diária, observado o mesmo limite máximo por infração;
• Publicização da infração após devidamente apurada e confirmada a sua ocorrência;
• Bloqueio dos dados pessoais a que se refere a infração até a sua regularização;
• Eliminação dos dados pessoais a que se refere a infração;
• Suspensão parcial do funcionamento do banco de dados a que se refere a infração pelo período máximo de seis meses, prorrogável por igual período;
• Suspensão do exercício da atividade de tratamento dos dados pessoais a que se refere a infração pelo período máximo de seis meses, prorrogável por igual período;
• Proibição parcial ou total do exercício de atividades relacionadas a tratamento de dados.

É fundamental compreender que a aplicação dessas sanções segue critérios estabelecidos pela própria LGPD, como a gravidade e a natureza das infrações e dos direitos pessoais afetados, a boa-fé e a vantagem auferida pelo infrator, a condição econômica do agente de tratamento, a reincidência, o grau do dano e a cooperação do infrator. A ANPD deve considerar esses fatores na dosimetria da penalidade aplicável a cada caso concreto.

Como a ANPD Conduz os Processos Administrativos Sancionatórios

O Regulamento do Processo de Fiscalização e do Processo Administrativo Sancionador da ANPD, aprovado pela Resolução CD/ANPD n. 1/2021, estabelece o rito procedimental para apuração de infrações à LGPD. Compreender esse fluxo é essencial para qualquer organização que venha a ser fiscalizada.

O processo se inicia com uma ação de fiscalização, que pode decorrer de denúncias de titulares de dados, de petições, de monitoramento proativo realizado pela própria autoridade ou de comunicações de incidentes de segurança. Após a fase investigatória, caso sejam identificados indícios de infração, a ANPD instaura o Processo Administrativo Sancionador (PAS), garantindo ao investigado o direito à ampla defesa e ao contraditório.

As etapas principais do PAS incluem:

• Instauração e notificação do agente de tratamento investigado;
• Apresentação de defesa escrita no prazo fixado;
• Produção de provas e realização de diligências, se necessário;
• Elaboração de relatório de fiscalização pela Coordenação-Geral de Fiscalização (CGF);
• Decisão pela Diretoria Colegiada da ANPD;
• Interposição de recurso administrativo ao Conselho Diretor, quando cabível.

A ANPD tem demonstrado atenção especial aos casos envolvendo agentes de tratamento de médio e grande porte, setores regulados e situações em que há grande volume de dados sensíveis ou tratamento em larga escala. Isso não significa, porém, que microempresas e pequenas empresas estejam imunes à fiscalização, embora a autoridade já tenha sinalizado tratamento diferenciado para esse segmento.

Primeiros Precedentes e Casos Relevantes da ANPD

A partir de 2023, a ANPD encerrou seu período essencialmente orientativo e passou a consolidar precedentes sancionatórios importantes. Embora o número de multas aplicadas ainda seja relativamente reduzido em comparação com autoridades europeias de proteção de dados, os casos já decididos fornecem parâmetros relevantes para entender a linha interpretativa da autoridade brasileira.

Entre os elementos que a ANPD tem valorizado em seus julgamentos, destacamos:

Ausência de base legal adequada para o tratamento: Casos em que o agente de tratamento não consegue demonstrar qual das hipóteses do artigo 7º (ou do artigo 11º, no caso de dados sensíveis) da LGPD fundamenta a operação de tratamento têm recebido atenção prioritária da autoridade. A ausência de base legal é considerada violação grave.

Descumprimento de direitos dos titulares: A negativa ou o retardo injustificado no atendimento a solicitações de titulares, como pedidos de acesso, correção, eliminação ou portabilidade de dados, também figura entre as condutas que têm gerado instauração de processos sancionatórios.

Incidentes de segurança sem comunicação adequada: O artigo 48 da LGPD impõe ao controlador a obrigação de comunicar à ANPD e ao titular a ocorrência de incidente de segurança que possa acarretar risco ou dano relevante. Falhas nessa comunicação, seja pela omissão, seja pelo atraso excessivo, têm sido objeto de apuração.

Tratamento de dados de crianças e adolescentes: Por envolver grupo vulnerável e exigir consentimento específico e destacado dos pais ou responsáveis legais, o tratamento irregular de dados de menores tem recebido tratamento mais rigoroso pela ANPD.

É importante destacar que os valores de multa praticados pela ANPD nos primeiros casos foram inferiores ao limite máximo legal, refletindo a fase de consolidação institucional da autoridade e a aplicação dos critérios de dosimetria previstos na lei. No entanto, existe tendência de crescimento gradual no rigor das punições, conforme a ANPD acumula experiência regulatória.

Como se Preparar: Medidas Práticas de Conformidade para Evitar Sanções

A melhor estratégia diante do regime sancionatório da LGPD é, naturalmente, a prevenção. Investir em conformidade antes de ser fiscalizado é sempre mais eficiente do que lidar com as consequências de um processo administrativo. A seguir, elencamos as medidas mais relevantes que organizações de todos os portes devem adotar.

Mapeamento de dados (data mapping): O ponto de partida de qualquer programa de conformidade é saber quais dados pessoais a organização trata, para quais finalidades, com quais bases legais e por quanto tempo. Sem esse inventário, é impossível demonstrar conformidade à ANPD.

Adequação de bases legais: Cada operação de tratamento precisa ser sustentada por uma das hipóteses legais previstas na LGPD. O consentimento, embora seja a base legal mais conhecida, não é a única nem necessariamente a mais adequada em todos os contextos. O legítimo interesse, a execução de contrato e o cumprimento de obrigação legal são bases igualmente válidas e, em muitos casos, mais robustas.

Atualização de documentos e políticas: A Política de Privacidade, os avisos de privacidade, os contratos com operadores e suboperadores, e os formulários de coleta de dados precisam refletir as práticas reais de tratamento e estar alinhados com os requisitos da LGPD.

Indicação de Encarregado (DPO): A nomeação de um Encarregado pelo Tratamento de Dados Pessoais, popularmente chamado de DPO (Data Protection Officer), é obrigação legal para controladores que realizam tratamento em larga escala. A ANPD já editou orientações sobre os critérios que determinam essa obrigatoriedade.

Procedimento de resposta a titulares: Implementar um fluxo claro e documentado para responder às solicitações dos titulares de dados, observando os prazos legais, é medida indispensável e de baixo custo operacional.

Plano de resposta a incidentes: Ter um protocolo definido para identificar, conter, avaliar e comunicar incidentes de segurança, com responsabilidades e prazos claros, pode fazer a diferença entre uma situação controlada e uma violação grave com consequências sancionatórias.

Treinamento de equipes: Colaboradores que tratam dados pessoais precisam compreender as obrigações da LGPD aplicáveis às suas funções. A cultura de privacidade não se constrói apenas com documentos, mas com pessoas conscientes e capacitadas.

“`

As informações deste artigo são de caráter informativo e não substituem consulta jurídica individualizada.